仕組み
ユーザーがあなたのアプリケーションにサインインすると、Auth0 はそのユーザーに関する情報を含むトークンを作成し、アプリケーションに返す前に秘密鍵でそのトークンに署名します。この秘密鍵は Auth0 によって保護されており、テナントごとに一意です。 トークンが有効であり、Auth0 から発行されたものであることを確認するために、アプリケーションは公開鍵を使ってトークンの署名を検証します。また、アプリケーションのセキュリティキー管理機能は、Auth0 Dashboard と の両方から利用できます。 Auth0 では、セキュリティ侵害が発生した場合にも確実に対応できるよう、キーを定期的にローテーションすることを推奨しています。 追加のアプリケーション署名証明書は以下のとおりです。これらのリンクは、正確な情報を提供するために、現在アクティブなテナントに基づいて生成されます。これらのリンクにアクセスするには、テナントの資格情報を使用して
auth0.com/docs にログインしている必要があります。サインインするには、右上の Log in を選択します。ログイン後は、プロフィールアイコンを選択し、Switch tenant を選ぶことでテナントを切り替えられます。Auth0 は、アプリケーションに送信されるアサーションに署名するために、アプリケーション署名鍵を使用します。これらのアサーションには、ID トークン、アクセストークン、SAML アサーション、WS-Fed アサーションが含まれる場合があります。なお、これらのキーは、IdP への SAML request の署名や IdP からのレスポンスの暗号化など、接続とのやり取りで使用されるキーとは異なります。デフォルトでは、IdP 接続の SAML アサーションには署名が付与されます。これは推奨される設定です。IdP の設定に使用できる公開鍵を取得するには、SAML Identity Provider Configuration: Signed Assertions を参照してください。
- Currently used: 現在、すべての新しいアサーションの署名に使用されているキー。
- Previously used: 以前使用されていたキー。すでにローテーションされていますが、このキーで生成されたアサーションは引き続き機能します。
- Next in queue: キューに入っているキー。次回アプリケーション署名鍵がローテーションされる際に、現在のキーと置き換わります。
本番環境でアプリケーション署名鍵をローテーションする前に、必ず開発用テナントで署名鍵のローテーションをテストしてください。